Sortir o desconnectar: dos resultats diferents de la VPN

El menú ofereix Desconnecta, la finestra té un botó de tancament i el gestor de tasques ofereix Finalitza la tasca. Cada opció sembla una manera d’aturar la VPN i cada una pot deixar la màquina en un estat diferent. Una pot aturar el túnel tot deixant un bloqueig actiu, una altra pot netejar-ho tot com a part d’una sortida ordenada, i una tercera pot només amagar la interfície mentre el component de fons continua funcionant. Tractar-ho tot com a sinònims és com una prova de privadesa arriba a una conclusió equivocada sobre què ha passat.

La documentació del client és l’únic lloc fiable per saber quin control és quin.

Quatre controls, possiblement quatre comportaments

Desconnectar normalment desmunta el túnel mentre el client continua resident, cosa que vol dir que un servei, un component de la safata o una regla del kill switch poden sobreviure al clic. Llavors molts clients continuen bloquejant el trànsit perquè la seva política diu que el dispositiu no ha de caure a l’accés directe mentre el client sigui present. Aquest comportament sembla una xarxa espatllada i és una protecció deliberada.

Sortir serveix per acabar l’aplicació, i un client ben educat elimina les seves regles en sortir. Alguns dissenys, en canvi, deixen un auxiliar separat que aplica la política, i això és una decisió, no un defecte. Tancar la finestra és una acció de la interfície sense cap efecte definit sobre el túnel, i la Pausa, quan existeix, és un quart comportament amb regles pròpies.

Una caiguda al costat del servidor és un cinquè camí completament diferent, i és el que els usuaris troben més sovint.

Llegeix l’estat abans i després de cada acció

Captura la llista de processos, l’estat del servei i les regles del tallafoc abans de l’acció, i repeteix la captura immediatament després. Comparar les dues llistes mostra què ha fet realment el control, sense dependre de la descripció que en dona la interfície.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Si les regles desapareixen juntament amb el procés, el client n’era l’amo. Si les regles continuen quan el procés ja no hi és, alguna altra cosa aplica la política, i trobar aquest component va abans de qualsevol canvi. Anota l’estat del servei en el mateix moment, perquè una interfície aturada no diu res sobre un servei del sistema.

Una desconnexió manual no és una fallada

Desconnectar executa el camí d’aturada previst, i una fallada se’l salta. Per tant, els resultats d’un no es traslladen a l’altre, així que una prova que va fer servir una opció del menú no pot sostenir cap afirmació sobre el comportament quan el client mor.

De la mateixa manera, una fallada no et diu res sobre una pausa temporal aprovada. Mantingues aquestes tres preguntes separades en el pla de proves i en tot el que s’escrigui després. El camí d’aturada també explica per què una sortida neta pot eliminar regles que una fallada deixa enrere. El mateix botó, codi diferent, evidència diferent.

Tria l’estat no disponible que realment necessites

Si el trànsit ha de quedar bloquejat sempre que el túnel estigui caigut, verifica aquest requisit durant l’acció concreta que t’importa, amb trànsit innòcu cap a una destinació coneguda. Inclou les exclusions d’aplicacions i les excepcions de xarxa local, perquè l’aplicació a tot el dispositiu sovint és més estreta del que el nom suggereix. Després confirma què passa després d’un reinici, perquè és quan sol aparèixer l’estat obsolet.

Si l’objectiu és un accés directe normal, fes servir el control documentat en lloc de matar processos o desactivar tot el tallafoc. Les regles obsoletes que deixa una sortida interrompuda són un problema diferent d’un bloqueig intencionat, i necessiten una recuperació diferent.

Anota quin component s’ha aturat: el túnel, l’aplicació visible o la capa que aplica la política. Aquesta sola frase evita la major part de la confusió que creen aquests controls.